Is beveiliging in de wolken iets voor u?

Meer en meer bedrijven doen voor de beveiliging van hun data en toepassingen een beroep op de cloud, en stappen er dus mee naar de buitenwereld. Cloudsecurity was dan ook het thema van het meest recente Business Meets IT-seminarie dat door uitgeverij Minoc Business Press werd georganiseerd. “Wat goedkoop is, valt doorgaans niet zo makkelijk te beveiligen.”

Cloudcomputing is een relatief nieuwe laag in de beveiliging van de data en de toepassingen van uw onderneming. Sinds jaar en dag beschikken bedrijven over beveiliging die in meerdere lagen opereert. Er is de zogenaamde antivirus (ook wel antimalware genoemd) op de individuele pc van de werknemers.

Daarnaast is er de onvermijdelijke firewall als tweede laag, die het netwerkverkeer beveiligt. En omdat veel toestellen zich buiten de traditionele perimeter connecteren en er ook steeds meer ‘vreemde’ toestellen op het netwerk komen, dook ook het concept van netwerktoegang op. Hierbij worden toestellen en gebruikers eerst gecheckt vooraleer ze op het netwerk worden toegelaten.

Antimalware, firewall en netwerktoegang zijn de meest voor de hand liggende vormen van beveiligingsmaatregelen die bedrijven nemen. Veel bedrijven zien ook antispam als een belangrijke pijler van hun beveiligingsstrategie. In verhouding beschikken ze meer over antispam dan over antivirus, blijkt uit onderzoek van zusterblad Smart Business Strategies.

Vooral kleine bedrijven zien antispam als hun belangrijkste securitycomponent.

Cloud
Meer en meer duikt de cloud op als bijkomende laag in de beveiliging. De verwachting is dat cloudcomputing ook steeds meer van de taken van beveiliging op zich zal nemen. Erwin Geirnaert van Zion Security wijst in dit kader op het fundamentele verschil tussen cloud security enerzijds en een secure cloud aan de andere kant.

“Bij het eerste gaat het om een security dienst die wordt aangeboden, zoals het filteren van e-mails op spam of virussen. Maar bij een beveiligde cloud gaat het om een beveiligde omgeving in een extern datacenter. Een fundamenteel verschil. Al worden de twee vaak door mekaar gebruikt”, benadrukt Geirnaert. 

Een externe cloudomgeving veilig krijgen, is overigens geen sinecure. “Zowel datacenter, infrastructuur, besturingssysteem als applicaties moeten veilig zijn. Net als de werknemers die er gebruik van maken”, aldus Geirnaert. De eerder goedkope cloudomgevingen, zoals bij Amazon.com, geven lang niet altijd voldoende garanties op het vlak van security.

“Je zit daar sowieso in een gedeelde omgeving. Wat goedkoop is, valt doorgaans niet zo makkelijk te beveiligen. Om een voorbeeld te geven: als een hacker via het cloudplatform van Amazon.com jouw bandbreedte gebruikt, moet je er zelf nog voor betalen ook”, stelt hij. In elk geval raadt Geirnaert aan om voor een cloud- of hostingpartij best zo lokaal mogelijk te blijven, liefst in Europa. En nog liefst in België zelf.

“Als je server gehackt wordt bij een buitenlandse cloudprovider, is het moeilijk om daar vanaf hier een zaak van te maken. Je moet eerst een gerechtelijk bevel zien te krijgen en in een vreemde taal is dat niet evident.” Maar hoe betrouwbaar (of lokaal) uw cloudprovider ook is, u moet het als klant zelf blijven opvolgen.

“Veel bedrijven onderhandelen heel hard over hun SLA (Service Level Agreement). Maar als het contract uiteindelijk ingaat, blijft zo’n SLA vaak in de kast liggen en komt dat document eigenlijk nooit meer ter sprake”, weet Geirnaert.

Public of Private?
Bedrijven die voor hun beveiliging echt de stap naar de wolken zetten, zijn overigens vrij schaars. Al zijn er een aantal die het overwegen. Dat geldt ook voor een overheidsorganisatie als Fedict, die in een  voorbereidende fase zit en hiervoor momenteel de lijnen uitzet.

“Voor ons komt het erop neer dat wij in een cloudomgeving zeker dezelfde beveiliging moeten kunnen bekomen als de security die we nu hebben”, aldus Jan Colpaert, netwerk- en securityarchitect bij Fedict. De cloud heeft zeker voordelen: het is een elastisch concept, schaalbaar en gebaseerd op het verbruik dat je nodig hebt”, somt Colpaert op.

Vooral in een publieke omgeving spelen de schaalvoordelen heel erg, waardoor de prijs vrij laag is. “Maar je hebt dan weer als nadeel dat de locatie van je data vaak onbekend is, dat je binnen deze formule weinig aanpassingen krijgt op jouw maat en dat de SLA meestal eerder beperkt is. Je kan ook moeilijk van de situatie afstappen en bent al snel afhankelijk van de leverancier”, ziet Colpaert als nadelen.

Bij een private cloud, die Fedict dan zelf zou uitrollen, ziet Colpaert dan weer hogere kosten en is het moeilijker om de infrastructuur te doen meegroeien. “Ook eigen ontwikkeling is in dat scenario waarschijnlijker.”

Daarom dat Fedict voor de toekomst vermoedelijk zal opteren voor de gemengde aanpak van de zogenaamde hybride cloud, dus een combinatie van privé en publiek. “Ook daar is eigen ontwikkeling nog steeds noodzakelijk, maar de migratie verloopt vlotter dan bij een publieke cloud. Wij denken ook dat security iets is dat een organisatie voor een groot deel zelf voor z"n rekening moet nemen.

Sommige cloudproviders lijken bijvoorbeeld niet klaar voor bepaalde beveiligingstaken, zoals de beveiliging van webapplicaties. Bovendien zijn onze eisen rond security erg divers en omvattend. Dat gaat dan van de bescherming van de data en het ownership ervan, over privacy, encryptie en certi caten, tot de beschikbaarheid van de data, om er maar een paar te noemen.”

Toch is de trend naar de cloud duidelijk merkbaar. “Geleidelijk aan is, van servers en storage tot de rest, meer en meer in een gedeelde omgeving terecht gekomen. Van alles bij u, on premise in het jargon, gaat het naar de cloud”, weet hij. En dit alles moet ook steeds beschikbaar zijn. "Vroeger gold een 24 op 7 beschikbaarheid enkel in productieomgevingen.

Vandaag is onze economie een 24-uurs economie en ook een stuk internationaler”, stelt Peter Hellemans, head of managed services bij  Atos. “Enkel voor beveiliging in de cloud heeft het lang geduurd vooraleer er vragen of opdrachten kwamen van klanten. Onze volgende investering ligt echter in het domein van security, zoals de aanpak rond en het voorkomen van hacking. Want cloud security zit zeker in de lift.”

Marktaandelen voor security
Computer Profile bracht op onze vraag de Belgische beveiligingsmarkt in kaart op basis van twee voorname security producten in bedrijven: antivirus en antimalware enerzijds, en firewalls en routers anderzijds. McAfee, Symantec en Trend Micro voeren de lijst aan bij antivirus. cisco, Juniper en Watchguard bij routers en firewalls. Al doet marktleider cisco het in verhouding beter op de routermarkt dan op de firewallmarkt.